Cómo un hash protege una contraseña

Va en un solo sentido

Imagina una herramienta donde metes un valor
y sale una huella corta de longitud fija.
A esta herramienta la llamamos hash de seguridad.
Mete el mismo valor y siempre sale la misma huella.
Pero una propiedad es especial.
De la entrada la huella es fácil de hacer,
pero de la huella no puedes volver a la entrada original.
Una licuadora puede convertir fruta en jugo
pero no puede convertir el jugo de vuelta en la fruta original.
Por eso la llamamos de un solo sentido.

Usa la flecha derecha para convertir la entrada en una huella. Intenta volver a la izquierda y el camino está bloqueado.

El camino hacia adelante se abrió fácil
pero el camino de vuelta estaba bloqueado.
Este bloqueo es el corazón de la seguridad,
porque con la huella sola no puedes conocer de forma directa el valor original.
Entonces, dónde usamos esta propiedad?
El lugar más común es la contraseña.
Si una contraseña se guarda tal cual,
cualquiera que mire el almacén la sabe enseguida.
Por eso hacemos lo siguiente.

Guarda la huella en lugar de la contraseña

Guardar una contraseña letra por letra es arriesgado,
porque si el almacén se filtra o alguien mira dentro,
esa contraseña se revela de golpe.
Por eso no guardamos la contraseña misma.
En cambio pasamos la contraseña por el hash
y guardamos solo la huella que sale.
Como la huella es de un solo sentido,
ella sola no revela de forma directa la contraseña original.
Aun mirando el almacén,
solo hay huellas que no se pueden revertir, en fila.

Toca para comparar las dos formas. El guardado en texto plano muestra la contraseña tal cual, el guardado por huella deja solo una huella que no se puede revertir.

El lado guardado en texto plano mostraba la contraseña al descubierto.
El lado guardado por huella dejaba solo una huella ilegible.
Así que para guardar, el lado de la huella es mucho más seguro.
Pero surge una pregunta.
Si no guardamos la contraseña,
entonces cuando un usuario inicia sesión,
cómo comprobamos que la contraseña es correcta?
No hay un original con qué comparar.
Aquí brilla otra propiedad de la huella.

Verifica convirtiendo la entrada en una huella

Dijimos que el mismo valor siempre da la misma huella.
Usamos esta propiedad para verificar.
Cuando un usuario ingresa una contraseña al iniciar sesión,
pasamos esa entrada por el hash de nuevo
y hacemos una huella nueva.
Luego comparamos esta huella nueva
con la huella guardada.
Si las dos coinciden, se ingresó la misma contraseña. Pasas.
Si las dos difieren, es otra contraseña. Se bloquea.
Sin sacar la contraseña original,
verificamos comparando solo las huellas.

Elige una entrada y toca verificar. Si la huella de la entrada coincide con la guardada pasas, si no, se bloquea.

Solo cuando se ingresó la contraseña correcta las huellas coincidieron y pasaron.
Un valor distinto se volvió una huella distinta y fue bloqueado.
Así, sin guardar el original,
podemos distinguir lo correcto de lo erróneo.
Guardar solo la huella, verificar comparando huellas.
Una sola propiedad, ser de un solo sentido,
hace seguros tanto el guardado como la verificación.
Pero hemos oído la palabra hash
en otra unidad también.
Es ese hash el mismo que este hash?

Su propósito difiere del hash de data

Vimos un hash en la unidad de data también.
Allí convertía un valor en un número de casilla
para encontrar rápido el dato que quieres.
El propósito era fijar un lugar rápido.
El hash de seguridad puede parecerse en forma,
pero su propósito es el opuesto.
Aquí el punto no es encontrar rápido
sino hacerlo imposible de revertir.
Por eso un hash de seguridad se construye
para que ir de la huella de vuelta al valor original sea difícil.
Mismo nombre, uso distinto.

Toca cada lado para contrastar los propósitos. El hash de data es para encontrar rápido, el de seguridad para ser irreversible.

Así, aun una herramienta del mismo nombre
tiene una propiedad distinta que importa según dónde se use.
En seguridad, ser irreversible
es la propiedad más valiosa.
Ahora repasemos de principio a fin.

Resumamos

Reunido en una línea, es esto.
Un hash de seguridad convierte la entrada en una huella de un solo sentido.
De la huella de vuelta a la entrada no se puede.
Por eso, en vez de la contraseña misma,
guardamos solo su huella.
Al iniciar sesión convertimos la entrada en una huella de nuevo
y vemos si coincide con la huella guardada.
Coincide y pasas, difiere y se bloquea.
A diferencia del hash de data hecho para encontrar rápido,
este es un hash hecho para ser irreversible.
Huella de un solo sentido, guardar solo la huella, verificar comparando. Así protege un hash.

Toca los puntos clave en orden para repasar. (huella de un solo sentido -> guardar solo la huella -> verificar por la huella de la entrada -> el propósito difiere del hash de data)

Ahora sabes cómo proteger una contraseña
sin dejarla tal cual.
Una sola huella que no puedes revertir
hace seguros juntos el guardado y la verificación.
Ni las personas ni los sistemas guardan el original,
así que hay menos secreto que perder.
La próxima, cómo movemos la información protegida así
de forma segura por los caminos donde se intercambia?
Sigamos explorando juntos.